İnsanlar VPN’leri farklı güvenlik ve gizlilik nedenleriyle, içeriğe anonim olarak erişmek veya farklı yerlerde gibi davranarak içerik kontrollerini ve yaş doğrulamasını atlamak için kullanırlar. Ancak tüm VPN’ler eşit yaratılmaz. Yakın tarihli bir rapor, birçoğunun başkalarının verilerinizi koklamasına izin verebileceğini ve arkalarında kimin olduğu konusunda dürüst olmadıklarını ortaya koydu.
Gizli Bağlantılar: VPN uygulamalarının gizli ailelerini analiz eden rapor, Toronto Üniversitesi vatandaş laboratuvarındaki araştırmacılardan ve Arizona Eyalet Üniversitesi’nden geliyor. Google Play Store aracılığıyla satılan birkaç Android VPN uygulamasının, başkalarının trafiğini gözetlemesine izin veren güvenlik kusurlarına sahip olduğu konusunda uyarıyor. Ayrıca kullanıcıları sahiplikleri hakkında aldatıyorlar, raporu uyarıyor:
“Sağlayıcılar bir Çinli şirkete ait gibi görünüyor ve işletiliyor ve bu gerçeği 700’den fazla birleşik kullanıcı tabanından gizlemek için büyük çaba sarf ediyorlar.”
Araştırmacılar en çok indirilen 100 VPN’ye baktı ve ABD tabanlı olmayan yarısını aldı. Ardından, aralarında bağlantılar bulmaya çalışmak için web sitelerini, iş dosyalarını ve VPN uygulamalarının kaynak kodunu taradılar. Bu kaynaklarda bulunan veri noktalarının bir kombinasyonunu kullanarak, ortak yazılım kütüphaneleri, teknik altyapı ve VPN uygulamalarını üç aileye gruplamalarına izin veren iş detayları buldular.
Aile a sağlayıcılara yenilikçi bağlantı, sonbahar esintisi ve limon karanfiline bağlı sekiz VPN uygulaması içeriyordu. Bu uygulamaların hepsi bazı ortak güvenlik kusurlarını paylaştı. Bunlar, Çin hükümetinin dijital sansür sistemini dolaştırmak için tasarlanmış bir hizmet olan Shadowsocks için bir şifre oluşturmak için kullanılan sert kodlanmış bir anahtar içeriyordu. Bu kusur, herkesin bu uygulamaları kullanarak gönderilen iletişimi şifresini çözmesini sağlar.
Rapordan:
“Analiz ettiğimiz VPN’lerin çoğunda, VPN istemcisi ve VPN sunucusu arasındaki bir ağ gizlice, uygulamaları kullanan tüm istemciler için tüm iletişimleri şifresini çözmek için sabit kodlu Shadowsocks şifresini kullanabilir.”
Tıpkı, sağlayıcıların gizlilik politikaları bunu yapmadıklarını iddia etse de, bu uygulamalar tarafından kullanıcı konumu verilerinin açıklanmayan koleksiyonu olduğu gibi. Araştırmacılar, kullanıcının genel IP’sinin posta kodunu IP-Api.com adresinden talep ediyorlar ve bir veritabanına yüklüyorlar.
Teknoloji Şeffaflık Projesi, daha önce ABD’nin Halkların Kurtuluş Ordusu ile olan bağlantıları için onayladığı Çinli siber güvenlik firması Qihoo 360 ile bu uygulamalardan sorumlu üç sağlayıcıyı birbirine bağlamıştı.
Aile B hepsi aynı VPN sunucularını kullanan Global VPN, XY VPN ve Super Z VPN gibi uygulamalardan sorumlu olan altı sağlayıcıdan oluşuyordu. Shadowsocks için de sert kodlanmış şifreleri vardı. Genel olarak, araştırmacılar anonimlik için shadowsock’lara dayanan uygulamaları kullanmaya karşı uyarıyorlar. Anonimliği korumak için Çin’in sansür sistemini aşmak için tasarlandı:
“Güvenliğe duyarlı uygulamalar olduğu ve sağlayıcılarının birçoğunun büyük bir Çin siber güvenlik firması olan Qihoo 360’a ait olduğu göz önüne alındığında, bu uygulamalarda kullanımdan kaldırılmış şifreler ve sabit kodlu şifreler bulmak mantıksızdı.”
Aile C’ler İki sağlayıcı, güvenlik sorunları olan Fast Patates VPN ve X-VPN gibi VPN’lerden sorumluydu. Bu aile, diğerleri gibi, yolda/yoldaki saldırı olarak bilinen şey de dahil olmak üzere diğer saldırılara da duyarlıydı. Bu, aynı ağdaysa uygulamayı kullanarak bir cihazdan trafiği manipüle eder.
Şirketler neden birden fazla VPN çalıştırmaya ve sonra gerçeği gizlemeye çalışabilir? Araştırmacılar, bir VPN’ye bir şey olursa itibar hasarından kaçınmaya çalışabilecekleri ilham veriyorlar. Raporda, kodu paylaşıyorlar çünkü bunu yapmak daha uygun maliyetli.
Buradaki paket, çok sayıda VPN’nin göründükleri gibi olmadığıdır. Uygulamaların bağlandığı sunucuları çalıştıran kişilerin tüm trafiği okuyabileceği göz önüne alındığında, bu da uygulamalardan şifreleri tersine çeviren diğerleri. Peki Google neden durdurmuyor?
Büyük problemlerden biri, farklı uygulama sağlayıcıları arasındaki ilişkilerin anlama zaman yoğun olmasıdır. Araştırmacılar, App Store operatörlerinin ölçekte otomatikleştirmesini zorlaştırıyor. Öte yandan, Google sadece 2. çeyrek 2025 için net karda 28,19 milyar dolar kazanıyor, bu yüzden belki de kanepenin arkasında bazı yedek değişiklikler bulabilir ve üzerine bazı manuel araştırmacılar koyabilir.
“Google, araştırdıklarımız gibi aldatıcı ve güvensiz uygulamalardan barındırarak ve kazanç sağlayarak markasını itibar hasarına maruz bırakıyor.”
Hangi sağlayıcıların çevrimiçi güveneceğini bilmek zor. Herhangi bir güvenlik ürününü dikkatle araştırmanızı ve sağlam bir üne sahip güvenilir bir şirkete gitmenizi öneririz. Malwarebebytes burada kendi VPN’si sunuyor.